プライバシーポリシー

1. はじめに

Experience North Santorini（以下「当社」）は、お客様の個人データの保護に努めています。このプライバシーポリシーでは、お客様が当社のウェブサイトをご利用になる際に、当社がお客様の情報をどのように収集、使用、保存、共有するかについて説明します。 experience-northsantorini.com （以下「サイト」といいます）および関連サービス。

当社は、一般データ保護規則（EU）2016/679（「GDPR」）の目的におけるデータ管理者です。当社の連絡先情報は、お問い合わせ以下のセクションをご覧ください。

2. 収集するデータ

3. お客様のデータの利用方法

当社は、お客様の個人データを以下の目的で処理します。

• 予約の履行 — お客様の体験、お食事、スパ、クルーズ、送迎のご予約を処理いたします。
• 支払い処理 — Vivaを通じた安全な決済処理。返金可能な予約デポジット（レストランの大人数予約など）も同じ決済プロバイダーを通じて請求・返金されます。当社がカード情報をサーバーに保存することは一切ありません。
• 取引メール — Resendを使用して、予約確認、リマインダー、キャンセル通知を送信します。
• マーケティングメール — 受け取りをご希望のお客様にのみ、配信停止のお手続きをされるまでの間、Resendを使用してご優待やお知らせを送信します。
• サイトセキュリティ — CloudflareおよびCloudflare Turnstileを使用して、不正利用、ボット攻撃、および詐欺行為から保護します。
• エラー監視 — Sentryを使用してバグを特定し修正します（すべてのテキストはマスクされ、個人情報は収集されません）。
• 分析 — Google Analytics 4（IPアドレスの匿名化あり）およびVercel Analytics（お客様の同意がある場合のみ）を通じて、訪問者が当サイトをどのように利用しているかを把握します。
• メディア配信 — Cloudflare R2とMuxを通じて最適化された画像と動画を配信します。

4. マーケティングメール

マーケティングメールは、受け取りをご希望いただいた方にのみお送りします。このセクションでは、何をお送りするか、どのような根拠に基づくか、そして配信を停止する方法をご説明します。

お送りする内容

ご予約手続きの画面またはキャンセル待ちの登録フォームでマーケティングのチェックボックスにチェックを入れていただいた場合、次のようなメールをお送りすることがあります。

• 完了しなかったご予約についてのお知らせ — ご予約手続きを開始されたものの、お支払いが完了しなかった場合に、その件についてメールをお送りすることがあります。回数は最大2通まで、お手続きから30日以内に限ります。
• ご希望の日が満席のままの場合の代替のご提案 — キャンセル待ちにご登録いただいた日に空きが出なかった場合、Cave Spa でのプライベートディナーなど、近いご提案をお送りすることがあります。お客様専用の割引コードをお付けする場合もあります。
• ときどきのお知らせとご優待 — 客室、Akau Restaurant、Natura Spa、各種体験に関するご案内です。

配信の回数は意図的に抑えています。完了しなかったご予約についてのお知らせは最大2通で、間隔はおよそ2日です。それ以外に、7日以内に新しい配信を始めることはなく、90日間に4通を超えるマーケティングメールをお送りすることはありません。

予約確認、リマインダー、キャンセルや返金のお知らせ、キャンセル待ちの空席通知、アカウントに関するメールはマーケティングではありません。これらはご予約いただいた、またはご依頼いただいたことに基づいてお送りするもので、マーケティングメールの受け取りの有無にかかわらず配信されます。

法的根拠

当社がマーケティングメールをお送りする法的根拠は、ギリシャにおいて法律3471/2006第11条により国内法化されたePrivacy指令（2002/58/EC）第13条に基づく、次の2つのいずれかです。1つは、事前にチェックされていないボックスにチェックを入れる、または確認リンクをクリックすることで与えられるお客様の同意（第13条第1項）です。もう1つは、当社で予約のお支払いを済ませたお客様に適用される既存顧客ルール（第13条第2項／第11条第3項）で、お支払い時に明確に拒否する機会が与えられ、かつすべてのメールで再度その機会が提供されることを条件に、当社の類似サービスについてメールでご案内できるというものです。この根拠は最後のご予約から12か月で失効します。当社はマーケティングメールの送信に正当な利益を根拠とすることはなく、利用規約への同意をマーケティングへの同意とみなすことも決してありません。

どなたにご連絡するかの判断（ご予約が未払いのまま終わっていないか、その後ご予約いただいていないか、キャンセル待ちの日がまだ満席かの確認）は、事業を効率的に運営するという当社の正当な利益（GDPR第6条1項(f)）を根拠として行います。この根拠が及ぶのは社内での抽出のみです。同意をいただいていない限り、お客様に何かをお送りすることはありません。

同意は任意であり、いつでも撤回できます

マーケティングのチェックボックスにあらかじめチェックが入っていることはなく、他のご同意事項と一括りにすることもありません。チェックを入れることはご予約やキャンセル待ちへの登録の条件ではなく、提示される料金が変わることもありません。チェックの有無にかかわらず、ご予約は問題なく完了します。

同意はいつでも無料で撤回でき、その手間はご同意いただいたときと同じ程度です。すべてのマーケティングメールには、ログインも理由の説明も不要で、1回のクリックで完了する配信停止リンクが記載されています。このリンクはすべての種類のマーケティングメールを一度に停止します。infonorthsantorini.com宛にご連絡いただくか、マーケティングメールに返信して停止をご依頼いただくこともできます。撤回は、それ以前にお送りしたものの適法性には影響しません。

メールアドレスを見る第三者

当社のメールを配信するサービスである Resend のみです。Resend は下記の第三者サービスのセクションに記載しています。お客様のアドレスを販売したり、他社のマーケティングのために共有したり、広告プラットフォームにアップロードしたりすることはありません。

保持する情報と保持期間

同意が適切に取得されたことを示せるよう、ご同意いただいた文言そのもの、日時、お読みになった言語、同意の方法、および送信元のIPアドレスを記録します。配信停止または異議申立てをされた場合、そのメールアドレスを配信停止リストに無期限で保持します。この記録は、二度とメールをお送りしないことを確実にする唯一の方法であり、削除すればお客様ご自身の判断が無効になってしまうためです。具体的な期間は下記のデータ保持のセクションに記載しています。

お問い合わせ先

マーケティングメールに関するご連絡（同意の撤回、異議の申立て、保有している情報のご確認など）は、infonorthsantorini.com宛にお願いします。当社の対応にご満足いただけない場合は、ギリシャデータ保護局（www.dpa.gr）に苦情を申し立てることができます。

5. クッキーとトラッキング

当サイトでは、クッキーおよび類似の技術を使用してサイトを運営しています。フッターの「クッキー設定」をクリックするか、 クッキーの設定を開くには、こちらをクリックしてください。.

必須クッキー

これらのクッキーはサイトの機能に不可欠であり、無効にすることはできません。これには、認証トークン（Supabase）、カートと旅行プランナーのストレージ（localStorage）、およびクッキーの使用に関する同意設定が含まれます。

分析用クッキー

お客様の同意に基づき、当社はGoogle Analytics 4およびVercel Analyticsを使用して、訪問者が当サイトをどのように利用しているかを把握しています。Google Analyticsは匿名化されたデータ（IPアドレスは匿名化されます）を収集し、_gaや_ga_*などのCookieを設定して、個々の訪問者を識別します。Vercel AnalyticsはCookieを使用せずに匿名化されたページビューデータを収集します。個人情報は第三者と共有されません。Cookieの設定からいつでもオプトアウトできます。

機能性クッキー

お客様の同意を得た上で、Sentryは技術的な問題の診断を支援するため、匿名化されたセッションリプレイを記録する場合があります。すべてのテキストコンテンツとメディアは、データが取得される前にマスキングされます。

6. 第三者サービス

当社は、GDPRに基づきデータ処理者として活動する以下の第三者サービスプロバイダーとデータを共有します。

7. データ保持

当社は、お客様の個人データを、収集目的を達成するために必要な期間のみ保持します。

8. GDPRに基づくあなたの権利

GDPR（一般データ保護規則）に基づくデータ主体として、あなたは自身の個人データに関して以下の権利を有します。

• アクセス権 — 当社が保有するお客様の個人データのコピーを請求してください。
• 訂正権 — 不正確または不完全なデータの訂正を依頼する。
• 消去権 — 個人データの削除を請求する。ただし保存が義務づけられている記録があります。ご予約の記録はギリシャの税務・会計上の理由から、また、配信停止または異議申立てをされた場合はそのメールアドレスを配信停止リストに、お客様のご意思が守られ続けるよう保持します。
• 制限を受ける権利 — お客様のデータの処理方法を制限するよう要求する。
• データポータビリティの権利 — 構造化された、機械可読形式でデータを受け取ります。
• 異議を申し立てる権利 — 正当な利益に基づく処理に異議を申し立てる。ダイレクトマーケティングについては、理由を述べることなくいつでも異議を申し立てられます。マーケティングメールをご覧ください。
• 同意を撤回する権利 — 同意に基づく処理（例：分析用クッキーやマーケティングメール）については、同意撤回前の処理の適法性に影響を与えることなく、いつでも同意を撤回することができます。
• 苦情を申し立てる権利 — ギリシャデータ保護局（HDPA）に苦情を申し立てる場合は、以下の連絡先までご連絡ください。 www.dpa.grまたは、お住まいの地域のEU監督当局にお問い合わせください。

これらの権利を行使するには、下記までご連絡ください。infonorthsantorini.com 30日以内にご返信いたします。

9. 国際データ転送

当社の一部のサービスプロバイダーは、欧州経済領域（EEA）外でデータを処理しています。そのような場合、当社は適切な安全対策が講じられていることを確認します。

• EU-US Data Privacy Framework — Google, Sentry, Resend, Mux, and Vercel are certified under the EU-US Data Privacy Framework.
• Standard Contractual Clauses (SCCs) — where the DPF does not apply, we rely on EU-approved Standard Contractual Clauses.
• EU-based processing — our primary database (Supabase) and rate limiting infrastructure (Upstash) are hosted in the EU (Frankfurt).

10. データセキュリティ

当社は、お客様の個人データを保護するために、適切な技術的および組織的な措置を実施しています。

• Encryption in transit — all connections use HTTPS/TLS, enforced by Cloudflare.
• Password security — passwords are hashed using bcrypt via Supabase Auth.
• Row Level Security — database access is restricted so users can only access their own data.
• Rate limiting — API endpoints are rate-limited to prevent brute-force and abuse attacks.
• Bot protection — Cloudflare Turnstile verifies human users on sensitive forms.
• Error monitoring — Sentry provides real-time alerting with all PII masked.

11. 子どものプライバシー

当社のサービスは18歳未満の方を対象としていません。当社は意図的に子供から個人データを収集することはありません。万が一、当社が誤って子供からデータを収集してしまったと思われる場合は、ご連絡ください。速やかに削除いたします。

12. 本ポリシーの変更

当社は、業務慣行の変更または適用法令の変更を反映させるため、本プライバシーポリシーを随時更新する場合があります。重要な変更を行う場合は、本ページ上部の「最終更新日」を更新します。重大な変更については、電子メールまたは当社ウェブサイト上の目立つ通知によってお客様にお知らせする場合もあります。

13. お問い合わせ

このプライバシーポリシーについてご質問がある場合、またはデータ保護に関する権利を行使したい場合は、当社までご連絡ください。